// COMPUTERBASE — HARDWARE & GADGET
OpenShell und Sentry: Nvidia will das Ausbrechen von KI-Agenten verhindern
KI-Agenten sollen eigenständig handeln, dabei aber in klaren Grenzen bleiben. Nvidia hat auf der GTC in Berlin mit OpenShell und Sentry eine Architektur vorgestellt, die ihre Aktionen überwachen und bei Regelverstößen stoppen soll. Anlass ist eine Serie von Sicherheitsvorfällen, bei denen Agenten aus Testumgebungen ausbrachen.
Mit OpenShell und Sentry will Nvidia Unternehmen Werkzeuge zur Hand geben, um autonome KI-Agenten zu begrenzen und zu überwachen. Die im Rahmen der GTC in Berlin vorgestellte „OpenShell Reference Architecture“ verbindet dafür Software mit Nvidias aktuellen Rechenplattformen. Agenten sollen Aufgaben eigenständig ausführen können, ohne dabei unkontrolliert auf Systeme, Daten oder Netzwerke zuzugreifen.
OpenShell führt einen Agenten in einer abgeschotteten Umgebung aus und setzt die Regeln außerhalb des Agentenprozesses durch. Beim Start erhält der Agent lediglich Zugriff auf ausdrücklich freigegebene Dateien und Verzeichnisse. Nvidias Dokumentation nennt für die Umsetzung Linux Landlock, eine Sicherheitsfunktion des Kernels. Nicht freigegebene Pfade sollen dem Agenten versperrt bleiben. Weitere Beschränkungen legen fest, unter welcher Nutzerkennung der Agent läuft und welche Systemaufrufe er verwenden darf. Datei- und Prozessrechte werden beim Start der Umgebung eingerichtet.
Auch ausgehende Netzwerkverbindungen sind bei diesem Ansatz standardmäßig gesperrt. Eine erstellte Richtlinie kann gezielt freigeben, welches Programm welche Adresse erreichen darf. Bei unterstützten Webdiensten lassen sich zusätzlich einzelne Anfragen begrenzen, etwa auf bestimmte HTTP-Methoden oder URL-Pfade. Die Verbindung läuft über einen Proxy, der sie anhand dieser Regeln prüft. So könnte ein Agent zum Beispiel Daten von einer API abrufen dürfen, ohne dort auch Änderungen vornehmen zu können. Netzwerkregeln lassen sich während des Betriebs anpassen; Änderungen an den Datei- und Prozessrechten erfordern wieder eine neue Sandbox.
OpenShell ist dabei als Open-Source-Lösung umgesetzt worden: Nvidia hat den Quellcode öffentlich auf GitHub unter der Apache-2.0-Lizenz gestellt. Dadurch können Unternehmen und Entwickler den Code prüfen, anpassen und in ihre eigenen Umgebungen integrieren – etwa auch auf Plattformen anderer Prozessorhersteller; Nvidia nennt das ausdrücklich als Ziel der Software.
Sentry wiederum soll eine zusätzliche Kontrollinstanz bilden, die außerhalb der Agentenumgebung auf einer BlueField-4-DPU von Nvidia läuft. Eine DPU (Data Processing Unit) bündelt Rechenkerne, eine Netzwerkschnittstelle und Beschleuniger für Aufgaben wie Netzwerkverarbeitung und Sicherheit. Die aktuelle BlueField-4 kombiniert eine 64-Kern-Grace-CPU mit einer ConnectX-9-Netzwerkschnittstelle, die bis zu 800 Gbit/s unterstützt. Die DPU kann Infrastrukturaufgaben übernehmen, ohne die eigentlichen Prozessoren des Servers zu belasten.
BlueField-4 sitzt laut Nvidia auf dem Kommunikationsweg zwischen Agent und KI-Modell. Sentry kann dort Anfragen und Antworten untersuchen, Identitäten und Berechtigungen prüfen und Richtlinien durchsetzen. Das System soll dazu nicht auf eine Selbstauskunft des Agenten angewiesen sein. Nvidia beschreibt auch die Inspektion bestimmter verschlüsselter Verbindungen: Eine Proxy-Komponente entschlüsselt den dafür freigegebenen Verkehr, prüft ihn und leitet ihn weiter. Ergänzend könne Sentry ausgewählte Informationen aus dem Arbeitsspeicher der Hostumgebung zur Erkennung auffälligen Verhaltens heranziehen. Erkennt es einen Richtlinienverstoß, könne es den Agenten isolieren und stoppen – laut Nvidia innerhalb von Millisekunden.
Diese Komponenten führt Nvidia mit den Vera-Rubin-Systemen für die Inferenz und reinen Vera-CPU-Racks für Agentenprogramme zusammen. Sie sollen auch auf Edge-Systemen einsetzbar sein, also außerhalb der Cloud, etwa in Fabriken, Kliniken oder im Einzelhandel. Nvidia nennt Unterstützung für Linux, Kubernetes und Windows sowie für Cloud-Angebote großer Anbieter. Die Referenzarchitektur